Phishing tidak selalu berbentuk pesan yang buruk dan mudah dikenali. Penyerang dapat meniru atasan, vendor, bank, atau layanan cloud untuk meminta pembayaran, kredensial, perubahan rekening, maupun pembukaan dokumen berbahaya.

Perlindungan e-mail membutuhkan kombinasi konfigurasi teknis, verifikasi proses bisnis, kesadaran pengguna, dan respons cepat. Pelatihan saja tidak cukup jika permintaan sensitif dapat disetujui tanpa pemeriksaan kedua.

Fokus pada tindakan yang diminta

Alamat pengirim dan tampilan pesan dapat dipalsukan. Pengguna perlu berhenti sejenak ketika pesan meminta login, pembayaran, data pribadi, perubahan rekening, atau tindakan mendesak.

Konfigurasikan SPF, DKIM, dan DMARC untuk membantu layanan penerima memeriksa pesan yang memakai domain organisasi. Pantau laporan sebelum menerapkan kebijakan penolakan.

Lebih jauh, MFA membatasi dampak kata sandi yang dicuri, sedangkan penyaring e-mail membantu mendeteksi tautan, lampiran, domain, dan pola pengiriman berisiko.

Verifikasi transaksi melalui kanal lain

Perubahan rekening dan pembayaran bernilai tinggi harus dikonfirmasi melalui nomor atau kontak resmi yang sudah tersimpan, bukan melalui balasan pada pesan tersebut.

Meski demikian, pengguna perlu mengetahui cara melaporkan pesan dengan cepat. Tim IT kemudian dapat memblokir pengirim, mencari pesan serupa, dan mencabut sesi jika diperlukan.

Di lapangan, pekerjaan sebaiknya dimulai dengan mengaudit konfigurasi domain dan akun e-mail dan dilanjutkan dengan menetapkan verifikasi berlapis untuk transaksi sensitif. Tim kemudian perlu melakukan simulasi dan edukasi tanpa mempermalukan pengguna. Pada bagian akhir, membuat playbook respons akun yang diduga diambil alih membantu memastikan perubahan tidak berhenti sebagai pekerjaan sesaat.

Penilaian pelaksanaan perlu mencakup beberapa kondisi utama: MFA aktif, SPF dan DKIM valid, DMARC dipantau, pembayaran diverifikasi serta pelaporan phishing tersedia. Perubahan kondisi perlu diikuti dengan evaluasi ulang terhadap indikator tersebut.

Pertahanan terbaik menggabungkan teknologi dan proses. Ketika pengguna dapat melapor tanpa ragu dan transaksi penting harus diverifikasi, pesan phishing memiliki ruang yang jauh lebih kecil untuk berhasil.

Rujukan redaksi: CISA Secure Our World.